🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-8457, que afecta al plugin WooCommerce – Social Login para WordPress. Con una puntuación CVSS de 9.8, permite a atacantes no autenticados suplantar cualquier usuario, incluidos administradores, mediante un token JWT falsificado. Se recomienda aplicar la actualización o mitigación publicada por el fabricante.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-8457 |
| Fabricante | WPWeb (plugin WooCommerce – Social Login) |
| Producto | WooCommerce – Social Login para WordPress |
| Fecha de publicación | 2026-08-01 (según NVD) |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-8457, identificada en el plugin WooCommerce – Social Login para WordPress, permite una omisión total de la autenticación. El fallo reside en el manejador de inicio de sesión con Apple: el plugin acepta el id_token de Apple y descodifica únicamente su carga útil en base64, sin verificar la firma JWT contra las claves públicas de Apple, ni validar el emisor, la audiencia o la fecha de caducidad. Además, el nonce de seguridad necesario para invocar el flujo de inicio de sesión se expone públicamente a usuarios no autenticados a través de un objeto JavaScript localizado en la página de inicio de sesión.
Esto permite que un atacante no autenticado pueda iniciar sesión como cualquier usuario existente de WordPress —incluidos administradores— simplemente proporcionando un id_token falsificado cuya carga útil contenga la dirección de correo electrónico del usuario objetivo. El plugin utiliza ese correo electrónico para resolver la cuenta de WordPress sin excluir ningún rol, y emite inmediatamente una sesión autenticada.
Productos y versiones vulnerables
Según las fuentes consultadas, el producto afectado es:
| Producto | Versiones afectadas |
|---|---|
| WooCommerce – Social Login (plugin WordPress) | Todas las versiones hasta 2.8.7 inclusive |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico. Un atacante remoto no autenticado puede:
- Comprometer la confidencialidad: Acceder a información sensible de cualquier usuario, incluyendo datos de administradores.
- Comprometer la integridad: Modificar contenido, instalar plugins maliciosos o alterar la configuración del sitio.
- Comprometer la disponibilidad: Realizar acciones que degraden o bloqueen el sitio.
Dado que el ataque no requiere interacción del usuario ni privilegios previos, el riesgo es máximo para cualquier sitio que utilice el plugin WooCommerce – Social Login en versiones vulnerables.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE se basa en su reciente publicación y su puntuación CVSS de 9.8, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada:
- Accede al panel de administración de WordPress.
- Ve a Plugins y busca «WooCommerce – Social Login».
- Comprueba la versión instalada. Si es igual o inferior a 2.8.7, estás afectado.
No se han publicado comandos específicos para esta comprobación en las fuentes consultadas.
Mitigación y actualización
La acción recomendada por las fuentes es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Dado que el fabricante es WPWeb (a través de CodeCanyon), se debe:
- Visitar la página del plugin en CodeCanyon: https://codecanyon.net/item/social-login-wordpress-woocommerce-plugin/8495883.
- Consultar el portal de Microsoft MSRC (aunque el producto no es de Microsoft, aparece como referencia): https://msrc.microsoft.com/update-guide/.
- Si no hay actualización disponible, considera deshabilitar temporalmente el plugin o restringir el acceso a la página de inicio de sesión.
Checklist para administradores
- ☐ Identificar la versión del plugin WooCommerce – Social Login en todos los sitios WordPress.
- ☐ Si la versión es ≤ 2.8.7, aplicar la actualización o mitigación publicada por el fabricante.
- ☐ Revisar los registros de acceso en busca de inicios de sesión sospechosos o no autorizados.
- ☐ Verificar que no se hayan creado cuentas de administrador no autorizadas.
- ☐ Considerar la desactivación temporal del plugin si no hay parche disponible.
- ☐ Mantenerse informado a través de las fuentes oficiales (Wordfence, NVD, CodeCanyon).
Preguntas frecuentes
¿Qué es CVE-2026-8457?
Es una vulnerabilidad crítica de omisión de autenticación en el plugin WooCommerce – Social Login para WordPress, que permite a atacantes no autenticados iniciar sesión como cualquier usuario.
¿Qué versiones están afectadas?
Todas las versiones del plugin hasta la 2.8.7 inclusive.
¿Cómo puedo protegerme?
Actualiza el plugin a una versión superior a 2.8.7 si está disponible, o aplica las mitigaciones publicadas por el fabricante.
¿Se está explotando activamente esta vulnerabilidad?
No publicado por las fuentes consultadas. No hay evidencia de explotación activa en las referencias oficiales.
¿Qué hago si no encuentro una actualización?
Deshabilita temporalmente el plugin hasta que se publique un parche, o implementa medidas de seguridad adicionales como restringir el acceso a la página de inicio de sesión.
¿Dónde puedo encontrar más información?
Consulta las fuentes oficiales listadas en la sección correspondiente, especialmente el aviso de Wordfence y la página del plugin en CodeCanyon.